Hinweisgeberschutzgesetz

Ziel des Hinweisgeberschutzgesetzes (HinSchG) und der ihm zugrundeliegenden EU-Richtlinie ist ein umfassender gesetzlicher Schutz von Beschäftigten, die Hinweise auf Missstände in Unternehmen geben (sog. Whistleblower). Um dies zu erreichen, beinhaltet das Gesetz eine Reihe von zusätzlichen bürokratischen Pflichten für Unternehmen. Viele Umsetzungspflichten sind derzeit noch unklar bzw. auslegungsbedürftig und werden erst im Laufe der Zeit durch die Gerichte und Literatur konkretisiert werden.

Das HinSchG trat am 02.07.2023 in Kraft. Unternehmen ab 250 Beschäftigten müssen unmittelbar seit diesem Zeitpunkt ein sog. Hinweisgebersystem einrichten. Für Unternehmen mit mindestens 50 Beschäftigten gilt diese Verpflichtung erst ab dem 17.12.2023.

Alle sog. Beschäftigungsgeber((GENDERNOTICE)), die mindestens 50 Beschäftigte (Kopfprinzip!) haben, müssen sichere interne Hinweisgebersysteme installieren und betreiben. Zu diesen Beschäftigungsgebern gehören nach dem Gesetz „natürliche Personen sowie juristische Personen des öffentlichen und des privaten Rechts, (…) rechtsfähige Personengesellschaften und (…) sonstige rechtsfähige Personenvereinigungen“.

Unabhängig davon wurde zwischenzeitlich beim Bundesamt für Justiz (BfJ) eine externe behördliche Meldestelle eingerichtet. Das BfJ stellt Informationen zu allen einschlägigen externen Meldestellen zur Verfügung stellen, auf die verlinkt werden kann. Weitere Informationen dazu können hier abgerufen werden: www.bundesjustizamt.de/DE/MeldestelledesBundes/MeldestelledesBundes_node.html.

Die Hinweisgeber haben die Wahl, ob sie sich an die externen oder die internen Meldestellen der Unternehmen wenden wollen. Das Gesetz präferiert dabei die internen Meldestellen, da sich Hinweisgeber jedenfalls dann bevorzugt an diese wenden „sollen“, wenn „intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten“ müssen.

Aus unserer Sicht muss der Arbeitgeber seine Mitarbeiter über das HinSchG informieren und einen kurzen Verfahrensablauf der internen Meldestelle skizzieren. Auch muss er über die Erhebung und Verarbeitung personenbezogener Daten nach Art. 13, 14 DSGVO informieren. Dafür haben wir in Anlagen 1-4 Muster für Sie erstellt.

Die Aufgaben der internen Meldestelle können von Beschäftigten oder aus ihnen gebildeten Arbeitsgruppen wahrgenommen werden. Allerdings können mit der Errichtung und dem Betreiben der internen Meldestelle auch externe Dritte beauftragt werden, etwa Dienstleister oder Rechtsanwälte. Ebenso möglich ist es, dass mehrere Unternehmen eine gemeinsame Meldestelle errichten; dies ist allerdings nur Unternehmen mit höchstens 249 Beschäftigten gestattet.

In jedem Fall müssen die in der Meldestelle tätigen Personen unabhängig und frei von Interessenkonflikten sein sowie über die notwendige Fachkunde verfügen, wobei die Anforderungen an diese „Fachkunde“ vom Gesetz nicht näher konkretisiert werden. Zudem müssen die handelnden Personen mit den notwendigen Befugnissen ausgestattet werden, insbesondere zur Entgegennahme und Prüfung von Meldungen und zum Ergreifen von Folgemaßnahmen.

Es empfiehlt sich, im Falle der Beauftragung eines Beschäftigten mit den Aufgaben der internen Meldestelle eine Vereinbarung mit diesem zu schließen. Ein Muster hierfür finden Sie in Anlage 5.

Die einzurichtenden Meldesysteme müssen es Whistleblowern ermöglichen, Hinweise mündlich, in Textform oder auf Wunsch auch persönlich abzugeben (vgl. § 16 Abs. 3 HinSchG). Einer der umstrittensten Punkte dabei war die ursprünglich vorgesehene Pflicht, auch die Abgabe anonymer Hinweise zu ermöglichen. Dies wurde letztlich aber im Vermittlungsausschuss erheblich abgeschwächt: Nunmehr „sollen“ die internen Meldestellen zwar auch anonym eingehende Meldungen bearbeiten, es besteht aber explizit keine Verpflichtung mehr, das Meldesystem an sich so zu gestalten, dass auch die Abgabe anonymer Meldungen ermöglicht wird

Zum Schutz der Hinweisgeber muss sichergestellt werden, dass nur die zuständigen Personen Zugriff auf die Meldungen und deren Inhalt haben und diese vertraulich behandelt werden. Die Identität dieser Personen darf grundsätzlich nur den jeweils für die Bearbeitung einer Meldung zuständigen Personen bekannt sein. Nur in Ausnahmefällen, etwa in Strafverfahren auf Verlangen der Strafverfolgungsbehörden, dürfen Informationen über die Identität eines Hinweisgebers oder Personen, die Gegenstand einer Meldung sind, herausgegeben werden.

Geht ein Hinweis ein, hat die Meldestelle dem Hinweisgeber innerhalb von sieben Tagen eine Eingangsbestätigung zu erteilen. Die Meldestelle muss ferner prüfen, ob der gemeldete Sachverhalt überhaupt in den Anwendungsbereich des Gesetzes und damit in ihre Zuständigkeit fällt. Das ist dann der Fall, wenn sich der gemeldete Verstoß (oder Verdacht eines Verstoßes) auf Straftaten bezieht, auf Verstöße gegen bußgeldbewehrte Vorschriften oder auf Verstöße gegen eine Reihe von im Gesetz aufgezählten nationalen und europäischen Rechtsnormen (vgl. § 2 HinSchG).

Diese sehr weitgehende Zuständigkeit wurde im Vermittlungsausschuss insoweit eingeschränkt, als die Meldestellen nur noch zuständig sind für Meldungen über Verstöße, die sich entweder bei demjenigen Beschäftigungsgeber ereignet haben, bei dem der Hinweisgeber selbst tätig ist oder bei einer anderen Stelle, mit der der Hinweisgeber in beruflichem Kontakt stand (z. B. bei einem Kunden oder Dienstleister). Meldungen über Verstöße außerhalb eines jeglichen beruflichen Kontextes fallen daher nicht (mehr) in die Zuständigkeit der Meldestelle. Gleichwohl sind auch solche Hinweise, für die keine Zuständigkeit der Meldestelle besteht, vertraulich zu behandeln.

Spätestens zu diesem Zeitpunkt muss die interne Meldestelle den Hinweisgeber nach Art. 13 DSGVO darüber informieren, dass und welche Daten des Hinweisgebers sie im Rahmen ihrer Tätigkeit erhebt und verarbeitet. Ebenso muss die interne Meldestelle die betroffene Person nach Art. 14 DSGVO darüber informieren, dass bzw. welche Daten sie über diese Person erhebt und verarbeitet, sofern dies die Beweisführung nicht erschwert (vgl. Anlage 4).

Spätestens innerhalb von drei Monaten ist dem Hinweisgeber mitzuteilen, ob und ggf. welche Folgemaßnahmen geplant oder bereits ergriffen worden sind; gleiches gilt für die jeweiligen Gründe für diese Maßnahmen. Derartige Folgemaßnahmen können interne Untersuchungen und Ermittlungen sein, aber auch eine Verweisung des Hinweisgebers an andere zuständige Stellen, die Abgabe des Verfahrens an eine zuständige Behörde (wie etwa bei der Meldung einer Straftat die Staatsanwaltschaft) oder schlicht der Abschluss des Verfahrens aus Mangel an Beweisen. Alle eingehenden Meldungen sind zu dokumentieren und für die Dauer von drei Jahren nach Abschluss des Verfahrens aufzubewahren.

Neben dem durch die Vertraulichkeit gewährten Schutz enthält das Gesetz auch ein Verbot von „Repressalien“ zu Lasten von Whistleblowern. Der Begriff der Repressalie wird im Gesetz definiert als „Handlung oder Unterlassung im Zusammenhang mit der beruflichen Tätigkeit, die eine Reaktion auf eine Meldung“ ist und durch die dem Hinweisgeber „ein ungerechtfertigter Nachteil entsteht“. Angesichts dieser weiten Begriffsbestimmung kommen als Repressalie nicht nur Abmahnungen, Kündigungen oder sonstige Disziplinarmaßnahmen in Betracht, sondern beispielsweise auch der Entzug von Kompetenzen oder Aufgaben, nachteilige Veränderungen der Arbeitszeit oder des Arbeitsorts, die Verweigerung von Fortbildungsmaßnahmen o.ä..

Flankiert wird dieses Verbot durch die Statuierung von Schadensersatzansprüchen des Hinweisgebers für erlittene Repressalien. Hier ist derzeit noch unklar, wer als „Verursacher“ einer Repressalie gemeint sein soll. Dieser Begriff wird weder im Gesetz selbst noch in der Gesetzesbegründung definiert. Letztere weist lediglich nebulös darauf hin, dass Verursacher „regelmäßig der Beschäftigungsgeber“ sei. Vom Wortlaut her könnte damit allerdings auch jede Person erfasst sein, welche die Repressalie ausgeführt oder auch nur veranlasst hat. Diese Frage wird in der Praxis von den Gerichten näher geklärt werden müssen.

Umgekehrt ist auch die hinweisgebende Person zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist.

Das HinSchG enthält eine Beweislastumkehr zugunsten der Whistleblower: Es stellt die Vermutung auf, dass eine nachteilige Behandlung des Hinweisgebers eine Repressalie, also eine Reaktion auf dessen Hinweis war, so dass der Beschäftigungsgeber sich entlasten und den Entlastungsbeweis dafür erbringen muss, dass die nachteilige Behandlung gerade nicht im Zusammenhang mit einer Hinweiserteilung stand.

Auch dieser Aspekt wurde im Vermittlungsausschuss zumindest ein wenig abgeschwächt – diese gesetzliche Vermutung greift nur noch dann ein, wenn der Whistleblower selbst sich darauf beruft, die nachteilige Behandlung gerade wegen eines von ihm abgegebenen Hinweises erlitten zu haben. Dies dürfte allerdings in der Praxis keine echte Hürde für das Eingreifen der Beweislastumkehr sein. Arbeitgeber sind im Hinblick darauf also gut beraten, Vorsorge zu treffen und Maßnahmen, die ggf. als Repressalie verstanden werden könnten, sowie die sachlichen Gründe für diese Maßnahmen umfassend zu dokumentieren, um im Ernstfall den Entlastungsbeweis führen zu können.

Bei der Umsetzung des HinSchG sind naturgemäß die Beteiligungsrechte des Betriebsrats zu beachten.

Kein Mitspracherecht hat der Betriebsrat allerdings bei der Einrichtung der Meldestelle als solcher, da diese für Unternehmen mit mindestens 50 Beschäftigten bereits gesetzlich verpflichtend vorgegeben ist. Sofern kleinere Unternehmen dagegen freiwillig eine Meldestelle einrichten möchten, hat dies unter Beteiligung des Betriebsrats zu erfolgen.

In jedem Fall steht dem Betriebsrat aber ein Mitbestimmungsrecht bei der konkreten Ausgestaltung der internen Meldestelle und der einzurichtenden Meldewege zu, da das HinSchG dem Arbeitgeber hier Gestaltungsspielräume offenlässt. Gleiches gilt, wenn im Unternehmen über das Freiwilligkeitsprinzip des HinSchG hinaus eine Pflicht der Beschäftigten zur Meldung von Verstößen etabliert werden soll.